—

ETSI EN 319 401 V3.1.1 (2024-06), Elektroniske signaturer og infrastrukturer (ESI) — Generelle policykrav til trust serviceudbydere

—

ETSI EN 319 421 V1.3.1 (2025-07), Elektroniske signaturer og infrastrukturer (ESI) — Generelle policy- og sikkerhedskrav til trust service-udbydere, der udsteder tidsstempler

—

ISO 14721:2025, Space Data System Practices — Reference model for an open archival information system (OAIS)

—

ACM-ECCG, Den Europæiske Cybersikkerhedscertificeringsgruppe, undergruppen om kryptografi: »Agreed Cryptographic Mechanisms«, offentliggjort af Den Europæiske Unions Agentur for Cybersikkerhed (»ENISA«).

—

CIR (EU) 2024/482, Kommissionens gennemførelsesforordning (EU) 2024/482 (1).

—

CIR (EU) 2024/3144, Kommissionens gennemførelsesforordning (EU) 2024/3144 (2).

—

ISO/IEC 15408:2022 (del 1-5), »Informationssikkerhed, cybersikkerhed og privatlivsbeskyttelse — Evalueringskriterier for IT-sikkerhed«.

—

FIPS PUB 140-3 (2019), »Security Requirements for Cryptographic Modules«.

—

Kravene i CEN/TS 18170, punkt 6.1, finder anvendelse.

—

Kravene i ETSI EN 319 401, punkt 5, finder anvendelse.

—

EATSP fastlægger procedurer for underretning af tilsynsorganet om eventuelle ændringer i leveringen af elektroniske tillidstjenester til arkivering og for hensigten om at indstille disse aktiviteter i overensstemmelse med forretningsmæssige krav og relevante love og bestemmelser, herunder i overensstemmelse med kravene i de gennemførelsesretsakter, der er vedtaget i henhold til artikel 24, stk. 5, i forordning (EU) nr. 910/2014 [i.2].

—

EATSP underretter det kompetente tilsynsorgan som minimum:

—

Kravene i CEN/TS 18170, punkt 6.2, finder anvendelse.

—

Abonnenter og parter, der benytter den elektroniske tillidstjeneste til arkivering, informeres på en klar, fyldestgørende og lettilgængelig måde, på et offentligt tilgængeligt sted og individuelt, om de præcise vilkår og betingelser, inden der indgås et kontraktforhold.

—

Kravene i CEN/TS 18170, punkt 7.3, finder anvendelse.

—

EATSP's personale i betroede roller og, hvis det er relevant, dennes underleverandører i betroede roller skal kunne opfylde kravet om at have opnået »ekspertviden, erfaring og kvalifikation« gennem formel uddannelse og eksaminer eller faktisk erfaring eller en kombination af de to. Dette omfatter regelmæssige opdateringer (mindst hver 12. måned) om nye trusler og aktuel sikkerhedspraksis.

—

Arkiveringssystemet skal garantere fortroligheden af data og dokumenter i hele arkivets livscyklus fra deponering til tilintetgørelse.

—

De krav, der er specificeret i ETSI EN 319 401, underpunkt 7.5 »Cryptographic controls«, finder anvendelse.

—

Oprindelsen af de data, der skal arkiveres i det elektroniske arkiveringssystem, fastlægges af EATSP. Hvis der anvendes elektroniske signaturer eller elektroniske segl til dette formål, skal disse elektroniske signaturer eller elektroniske segl være kvalificerede.

—

Når EATSP digitalt underskriver (en del af) et digitalt objekt eller en digital post, skal den private EATSP-signeringsnøgle opbevares og anvendes i enten et kvalificeret elektronisk signatur- eller seglgenereringssystem eller en sikker kryptografisk enhed, der er et pålideligt system certificeret i overensstemmelse med:

—

Denne certificering skal omfatte et sikkerhedsmål eller en beskyttelsesprofil eller et moduldesign og sikkerhedsdokumentation, der opfylder kravene i dette dokument, på grundlag af en risikoanalyse og under hensyntagen til fysiske og andre ikketekniske sikkerhedsforanstaltninger.

—

Hvis den sikre kryptografiske enhed er omfattet af en certificering under EUCC (IR (EU) 2024/482 og CIR (EU) 2024/3144), skal enheden konfigureres og anvendes i overensstemmelse med denne certificering.

—

EATSP overvåger styrken af de kryptografiske algoritmer, der anvendes eller er blevet anvendt. Hvis en af de anvendte algoritmer eller parametre anses for at blive uegnet i henhold til risikostyringen, skal EATSP enten ajourføre den tilknyttede arkiveringspolitik eller oprette en ny arkiveringsprofil til håndtering af AIP'erne og fastlægge og gennemføre passende foranstaltninger.

—

Evalueringen af de kryptografiske algoritmer og deres anvendelse hos EATSP skal være i overensstemmelse med de aftalte kryptografiske mekanismer, der er godkendt af Den Europæiske Cybersikkerhedscertificeringsgruppe og offentliggjort af ENISA (ACM-ECCG).

—

Tekniske komponenter i EATS skal autentificere hinanden på grundlag af kryptografiske teknikker forud for kommunikation.

—

De krav, der er specificeret i ETSI EN 319 401, underpunkt 7.8 »Network security«, finder anvendelse.

—

Den sårbarhedsscanning, der kræves i henhold til REQ-7.8-13 i ETSI EN 319 401, skal udføres mindst én gang pr. kvartal.

—

Den penetrationstest, der kræves i henhold til REQ-7.8-17X i ETSI EN 319 401, skal udføres mindst én gang om året.

—

Firewalls skal være konfigurerede til at forhindre alle protokoller og al adgang, der ikke er nødvendige for EATSP's drift.

—

De krav, der er specificeret i ETSI EN 319 401, underpunkt 7.10 »Collection of evidence«, finder anvendelse, herunder for kritiske og ikkekritiske hændelser (se underpunkt 13.2).

—

Kravene i CEN/TS 18170, punkt 7.13, finder anvendelse.

—

EATSP's plan i tilfælde af virksomhedsafbrydelse skal opfylde kravene i de gennemførelsesretsakter, der er vedtaget i henhold til artikel 24, stk. 5, i forordning (EU) nr. 910/2014.

—

Kravene i CEN/TS 18170, punkt 13.3.1, finder anvendelse.

—

Når der anvendes tidsstempler, skal EATSP anvende et kvalificeret tidsstempel.